Cómo educar, capacitar y empoderar a los desarrolladores en seguridad

¡Atención, desarrolladores! Llegó el momento de que te hagas responsable de la seguridad de tus aplicaciones. Puede que esto les parezca intimidante a algunos, ¡pero no se preocupen! Hay muchos recursos, herramientas y prácticas que te guiarán en el camino hacia la excelencia en DevSecOps. En esta publicación del blog, destacaremos algunos episodios de The Secure developer, un pódcast de entrevistas presentado por Guy Podjarny, el propio CEO de Snyk. El pódcast lleva más de un año al aire y Guy ha entrevistado a algunos de los principales referentes de nuestra industria, como Adam Jacob, director de tecnología de Chef; Francois Raynaud, fundador de DevSecCon; y James Governor, de Redmonk, entre otros.

A estas alturas, todos sabemos que los desarrolladores son quienes marcan la diferencia. Quienes no se enfocan en las necesidades de sus desarrolladores ni escuchan sus consejos se encontrarán intentando alcanzar a sus competidores. Con esto en mente, ¿cómo podemos, como industria o como personas, empoderar a los desarrolladores para que tengan los conocimientos y la autoridad suficientes para gestionar la seguridad de forma eficaz? Para responder a esta pregunta, seleccioné algunos episodios de la serie de pódcast en los que Guy entrevista a distintos equipos de seguridad para arrojar luz sobre cómo lograrlo.

Cómo empoderar a los desarrolladores en seguridad

Episodio 1: Priorizar el desarrollo seguro

En el episodio de estreno de The Secure Podcast, Guy conversa con Kyle Randolph, ingeniero principal de seguridad en Optimizely y su primer especialista en seguridad. Kyle y Guy hablan sobre cómo establecer buenas prácticas de seguridad y formar referentes dentro del equipo de seguridad, así como de la importancia de estar cerca de los ingenieros. Kyle también aborda la tarea, a veces difícil pero siempre importante, de priorizar la seguridad en una organización de ingeniería. Además, comparte anécdotas de su paso por Optimizely, Adobe y Twitter.

«Al estar en contacto con el equipo de ingeniería, sabes qué están creando y qué les preocupa a los ingenieros. Es mucho más fácil influir en ellos y también lograr que se acerquen a ti».

Kyle Randolph

«Si les interesa y les apasiona, es muy probable que sean mucho más productivos trabajando en ello que si se les asigna».

Kyle Randolph

Escucha The Secure Developer - Ep. #1, Prioritizing Secure Development

Episodio 11: Cómo mantener la seguridad en PagerDuty

Guy conversa con Arup Chakrabarti, Kevin Babcock y Rich Adams, de PagerDuty. Hablan sobre cómo llevan a la práctica su visión de seguridad, que consiste en «hacer que sea fácil hacer lo correcto», mediante la creación de herramientas para aumentar la automatización de la seguridad, la transparencia y el empoderamiento de los desarrolladores. Esto implica elegir las herramientas adecuadas y diseñar una experiencia de seguridad que no obligue a las personas a hacer las cosas, sino que les permita entender cómo pueden quedar expuestas las vulnerabilidades. Darles la oportunidad de romper cosas también despierta un fuerte deseo de protegerlas.

«En lugar de darles una lista de reglas, lo planteamos de otra manera: les mostramos “esto es lo que hacen los atacantes, así se vulneran las contraseñas” y lo demostramos con animaciones llamativas. Así logramos captar más su atención».

Rich Adams

«Una forma de involucrar a todo el equipo es organizar turnos y asignaciones: cuando surge un problema, quien está de guardia debe entenderlo y hacerse cargo».

Kevin Babcock

«Muchas herramientas de seguridad parten de la suposición implícita de que tienes un ejército de especialistas y analistas de seguridad disponibles».

Arup Chakrabarti

Episodio 13: Cómo gestiona la seguridad New Relic

Guy conversa con Shaun Gordon, director de seguridad de New Relic. Shaun nos cuenta cómo inició su carrera en seguridad después de trabajar como desarrollador y explica cómo ha evolucionado el rol de la seguridad en New Relic. También comparte su filosofía de adaptar los procesos de seguridad a la forma de trabajar de los desarrolladores y destaca la importancia de las alertas de excepción, los cuadros de mando y la automatización para apoyar a una organización que crece rápidamente.

«Nunca fui ese tipo de hacker tradicional al que le gustaba atacar cosas. Nunca adquirí esas habilidades de manera formal. Simplemente terminé en esto y, desde el primer día, he abordado la seguridad como desarrollador y defensor».

Shaun Gordon

«Tengo una filosofía para mi equipo: quiero cambiar nuestra forma de hacer seguridad para adaptarla a la manera en que los desarrolladores hacen su trabajo».

Shaun Gordon

¡Qué puedes hacer ahora!

Está claro que te interesa y te atrae la idea de ser un desarrollador seguro o de empoderar a tus desarrolladores para que se hagan responsables de la seguridad. Si es así, suscríbete al pódcast The Secure Developer y escucha los nuevos episodios en cuanto se publiquen. Además, si quieres empoderar a tus desarrolladores con las herramientas necesarias para detectar eficazmente vulnerabilidades de seguridad conocidas y licencias problemáticas, así como corregir cualquier problema, conoce Snyk, que ofrece pruebas ilimitadas y gratuitas para proyectos de código abierto.